Nikkei confirma invasão de contas de e-mail corporativas usadas para disparar 9 mil phishing
O grupo de mídia japonês Nikkei revelou dois incidentes distintos de comprometimento de contas de funcionários: uma conta Google Workspace invadida em julho, descoberta somente após alerta do próprio Google, e uma conta Microsoft 365 invadida em setembro. A conta Microsoft comprometida foi usada para disparar cerca de 9 mil e-mails de phishing a funcionários e entrevistados da empresa, enquanto a invasão da conta Google expôs nomes e e-mails de 1.646 pessoas.
O caso da Nikkei mostra dois estágios do mesmo problema de fundo: contas corporativas de e-mail sem proteção suficiente contra acesso indevido. No primeiro episódio, um atacante acessou uma conta Google Workspace no final de julho, mas a invasão só foi percebida em agosto, quando o próprio Google notificou a empresa — um intervalo que sugere ausência de alertas internos de login anômalo. No segundo, ocorrido em setembro, uma conta Microsoft 365 foi comprometida e usada ativamente para enviar phishing antes de a atividade maliciosa ser detectada.
O que torna esse incidente relevante para fraude, e não apenas para vazamento de dados, é o uso que os atacantes fizeram da conta Microsoft comprometida: em vez de simplesmente extrair informação, eles a transformaram em infraestrutura de ataque, enviando links maliciosos tanto para funcionários internos quanto para pessoas que haviam sido entrevistadas pela Nikkei. Esse é um padrão comum de pivotagem pós-comprometimento de contas corporativas — abusar da reputação de um domínio legítimo e de relacionamentos de confiança pré-existentes (editor-fonte, empresa-funcionário) para que os e-mails fraudulentos passem por filtros antispam e pareçam confiáveis a quem os recebe, já que vêm de um remetente real e conhecido.
A escala chama atenção: cerca de 9 mil mensagens de phishing enviadas a partir de uma única conta sequestrada, somadas à exposição de dados pessoais (nome e e-mail) de 1.646 indivíduos vinda do outro incidente. Para uma organização de mídia, o dano reputacional é duplo — além do prejuízo direto a quem clicar nos links maliciosos, fontes e entrevistados podem perder confiança em comunicações futuras que de fato vêm da Nikkei.
A resposta recomendada após um comprometimento desse tipo passa por revisar sessões ativas, permissões de aplicativos OAuth concedidas à conta, regras de encaminhamento automático de e-mail e configurações de MFA, já que esses são os pontos que um atacante costuma alterar para manter acesso persistente mesmo depois da troca de senha. Para quem recebe esse tipo de e-mail, mesmo vindo de um remetente conhecido, o ideal é desconfiar de links inesperados, verificar a urgência do pedido por um canal alternativo e, como a própria Nikkei orientou, simplesmente excluir a mensagem suspeita sem interagir com ela. Treinamento recorrente de conscientização de segurança para funcionários continua sendo a camada de defesa mais barata contra esse tipo de phishing disparado de dentro de uma conta legítima.